XSS Guestbook

💡 Hint: The comment body is stored via a parameterized INSERT (so the database itself is fine), but when comments are rendered back out, the body is dropped straight into the HTML with no escaping (see the <p>${c.body}</p> line). A quick tester who only checks that comments "save and show up" will miss this; testing with an actual payload instead of plain text is what surfaces it. Also try it on the Name field, not just the comment box.
🇻🇳 Nội dung bình luận được lưu qua INSERT có tham số hóa (nên bản thân database không sao), nhưng khi hiển thị lại, nội dung bị chèn thẳng vào HTML mà không escape (xem dòng <p>${c.body}</p>). Một tester test nhanh chỉ kiểm tra bình luận có "lưu và hiển thị được" sẽ bỏ sót lỗi này; phải test bằng payload thật thay vì text thường mới lộ ra. Cũng nên thử ở ô Name, không chỉ ô bình luận.

💡 Hint: "Reset demo comments" is a plain GET link, not a form/POST -- a state-changing, destructive action reachable by just visiting a URL (or an attacker embedding it as an <img> tag on another page) with no confirmation and no CSRF token.
🇻🇳 "Xóa và nạp lại bình luận mẫu" chỉ là một liên kết GET thông thường, không phải form/POST -- một hành động phá hủy, thay đổi trạng thái, chỉ cần truy cập URL là kích hoạt được (hoặc kẻ tấn công nhúng nó dưới dạng thẻ <img> ở trang khác), không có xác nhận và không có CSRF token.